Informationssicherheit prüfen
Audits für Informationssicherheit und Compliance
Audits schaffen Klarheit darüber, ob Anforderungen, Prozesse, Maßnahmen und Nachweise belastbar umgesetzt sind. Wir prüfen Ihren definierten Auditkontext, strukturieren Findings und leiten realistische nächste Schritte ab.
Anforderungen nachweisbar erfüllen
Wenn Anforderungen nicht nur umgesetzt, sondern prüfbar belegt werden müssen
Wir beraten, schulen und auditieren im Umfeld anerkannter Standards und Prüfkontexte. Als Prüfmaßstab können unter anderem ISO 27001, IT-Grundschutz, TISAX® und VDA ISA sowie Anforderungen aus NIS2, KRITIS, B3S, DORA und der Kriterienkatalog C5 herangezogen werden. Der konkrete Prüfumfang wird nicht aus einem Standardnamen abgeleitet, sondern gemeinsam so festgelegt, dass er zu Organisation, Scope, Reifegrad und Entscheidungsbedarf passt.
Informationssicherheit ist für Management, Kunden, Prüfer und Aufsichtsstellen erst dann belastbar, wenn Verantwortlichkeiten, Prozesse, Maßnahmen und Nachweise nachvollziehbar zusammenpassen. Audits helfen, den tatsächlichen Stand zu bewerten, Schwachstellen früh zu erkennen und Entscheidungen auf eine belastbare Grundlage zu stellen.
Besonders relevant ist das für Geschäftsführungen, Informationssicherheitsbeauftragte, IT-Leitungen, Datenschutz- und Compliance-Verantwortliche, Qualitätsmanagement sowie Projektverantwortliche für Zertifizierungen, regulatorische Anforderungen und Kundennachweise.
Wo Audits wirklich helfen
Typische Ausgangslagen vor Audits und Prüfungen
Unklare Auditfähigkeit
Nachweise
Dokumente sind vorhanden, aber nicht konsistent, aktuell oder eindeutig einer Anforderung zugeordnet. Es ist unklar, welche Nachweise im Audit tatsächlich tragen.
Knappe Zeit vor einer Prüfung
Auditdruck
Ein Kunden-, Zertifizierungs- oder regulatorischer Termin steht fest. Prioritäten, Verantwortlichkeiten und die Reihenfolge der Nacharbeiten sind noch nicht belastbar geklärt.
Verteilte Verantwortung
Rollen
Fachbereiche, IT, Informationssicherheit, Datenschutz und Dienstleister arbeiten an denselben Anforderungen, aber mit unterschiedlichen Sichtweisen und Dokumentationsständen.
Findings ohne klare Umsetzung
Maßnahmen
Abweichungen wurden erkannt, jedoch fehlen Risikobewertung, Priorisierung, Verantwortliche, Fristen oder ein verlässliches Verfahren zur Nachverfolgung.
Unsicherheit über den richtigen Prüfrahmen
Scope
ISO 27001, IT-Grundschutz, TISAX®, NIS2, DORA oder ein Kundenvorgabenkatalog stehen im Raum. Zunächst muss geklärt werden, welche Anforderungen tatsächlich relevant sind und wie tief geprüft werden soll.
Technik und Governance greifen nicht ineinander
Wirksamkeit
Richtlinien und Konzepte sind dokumentiert, doch ihre praktische Umsetzung im IT-Betrieb, in Cloud-Diensten, bei Dienstleistern oder in Notfallprozessen ist nicht ausreichend belegt.
Ihr Ausgangspunkt
Wo stehen Sie aktuell?
Orientierung und Prüfrahmen
Scope klären
Sie möchten verstehen, welche Anforderungen, Organisationseinheiten, Prozesse und Nachweise in den Auditumfang gehören. Wir strukturieren Prüfziel, Scope, Kriterien und erwartete Ergebnisse.
Interne Prüfung und Standortbestimmung
Ist-Stand prüfen
Sie benötigen eine unabhängige Bewertung des aktuellen Stands. Wir prüfen ausgewählte Anforderungen, dokumentieren Findings und schaffen eine priorisierte Entscheidungsgrundlage.
Vorbereitung auf externe Audits
Auditfähig werden
Ein Zertifizierungs-, Kunden- oder regulatorisches Audit steht bevor. Wir bewerten die Prüffähigkeit, identifizieren kritische Lücken und begleiten die strukturierte Nacharbeit.
Findings schließen und Wirksamkeit nachweisen
Nacharbeit steuern
Ergebnisse aus Prüfungen liegen vor. Wir unterstützen bei Maßnahmenplanung, Verantwortlichkeiten, Nachweisen, Wirksamkeitskontrolle und der Vorbereitung auf Nach- oder Überprüfungsaudits.
Direkt klären
Persönliche Einordnung Ihrer Ausgangslage
Ihr Ansprechpartner
Michael Zitzler
Vice President Sales Operations
+49 89 3090488-0
Kurz eingeordnet
Häufige Entscheidungsfragen zu Audits
Das hängt vom Prüfziel ab. Ein internes Audit bewertet definierte Anforderungen, eine Gap-Analyse fokussiert Abstände zum Soll, ein Reifegradassessment betrachtet Entwicklungsstufen. Zertifizierungs-, Kunden- und regulatorische Prüfungen folgen jeweils eigenen Kriterien. Der erste Schritt ist daher ein klarer Prüfauftrag mit Scope und Ergebnisziel.
Auditorinnen und Auditoren sollten den geprüften Bereich objektiv bewerten können und nicht ihre eigene operative Arbeit prüfen. Wie die Unabhängigkeit organisatorisch umgesetzt wird, hängt von Größe, Rollenmodell und Standard ab. Externe Unterstützung ist besonders sinnvoll, wenn interne Kapazitäten, Erfahrung oder Distanz fehlen.
Nein. Fehlende oder unzureichende Dokumentation kann selbst ein relevantes Finding sein. Für eine effiziente Prüfung sollten jedoch Scope, Anforderungen, Zuständigkeiten und vorhandene Nachweise vorab zusammengestellt werden. So lässt sich unterscheiden, ob eine Maßnahme fehlt, nicht wirksam ist oder lediglich nicht nachvollziehbar belegt wurde.
Organisatorische Audits prüfen Anforderungen, Prozesse und Nachweise. Technische Audits, Konfigurationsprüfungen oder Penetrationstests untersuchen ergänzend die praktische Wirksamkeit ausgewählter Sicherheitsmaßnahmen. Welche technische Tiefe erforderlich ist, sollte risikobasiert und passend zum Prüfziel festgelegt werden.
Nächste Schritte passend zum Prüfziel
Auditarten und Anforderungen sinnvoll kombinieren
Die Auditart beschreibt, warum und wie geprüft wird. Der Standard oder Anforderungskatalog definiert, woran bewertet wird. Beides sollte getrennt betrachtet werden, damit Umfang und Ergebnis zur tatsächlichen Entscheidungssituation passen.
Interne Audits
Interne Audits
Regelmäßige interne Audits prüfen, ob das Managementsystem die festgelegten Anforderungen erfüllt, wirksam umgesetzt ist und weiterentwickelt wird. Sie sind zugleich ein wichtiges Steuerungsinstrument für Managementreview und kontinuierliche Verbesserung.
Kunden- und Lieferantenaudits
Anforderungen absichern
Wir unterstützen bei der Vorbereitung, Durchführung oder Nacharbeit von Audits entlang von Lieferketten und Vertragsanforderungen. Dabei werden kundenspezifische Vorgaben mit bestehenden Managementsystemen und Nachweisen abgeglichen.
Überprüfungs- und Nachaudits
Findings schließen
Nach Maßnahmenumsetzung wird geprüft, ob Abweichungen nachvollziehbar behoben und die vorgesehenen Kontrollen wirksam sind. Der Fokus liegt auf belastbaren Nachweisen und nicht allein auf formaler Dokumentation.
Standard- und regulatorische Audits
Prüfraster wählen
Je nach Kontext können ISO 27001, IT-Grundschutz, TISAX® und VDA ISA, B3S, KRITIS, NIS2, DORA, C5 oder kundenspezifische Anforderungskataloge einbezogen werden. Die Detailseiten erläutern die jeweiligen Anforderungen und Vorbereitungspfade.
Technische Security Audits
Wirksamkeit prüfen
Konfigurations- und Sicherheitsprüfungen können organisatorische Audits ergänzen, etwa für Active Directory, E-Mail-Sicherheit, Microsoft 365 oder ausgewählte Infrastrukturkomponenten. Penetrationstests werden als eigenständige technische Prüfleistung separat beschrieben.
Von der Prüfung zur Umsetzung
Was Sie aus einem Audit mitnehmen
Ein gutes Audit endet nicht mit einer Liste von Abweichungen. Es macht transparent, welche Anforderungen bereits belastbar erfüllt sind, wo Risiken oder Nachweislücken bestehen und welche Schritte für Management, Fachbereiche und IT als Nächstes sinnvoll sind.
Unsere Verbindung aus Informationssicherheitsberatung, Auditpraxis, Projektmanagement und technischer IT-Erfahrung hilft dabei, Ergebnisse realistisch einzuordnen und in umsetzbare Maßnahmen zu überführen.
Prüfrahmen und Auditplanung
Klarer Scope
Klärung von Prüfziel, Kriterien, Organisationseinheiten, Standorten, Systemen, Prozessen, Stichproben, Ansprechpartnern und erwarteten Ergebnissen.
Dokumenten- und Nachweisprüfung
Belastbare Evidenz
Sichtung und Bewertung vorhandener Richtlinien, Konzepte, Protokolle, Risikoanalysen, Maßnahmenstände, Betriebsnachweise und Managementinformationen.
Interviews und Stichproben
Praxisbezug
Abgleich dokumentierter Regelungen mit gelebten Abläufen, Rollenverständnis, technischen Umsetzungen und ausgewählten Nachweisen aus dem Betrieb.
Findings und Risikoeinordnung
Transparenz
Strukturierte Darstellung von Konformitäten, Abweichungen, Beobachtungen und Verbesserungspotenzialen. Einordnung nach Relevanz, Risiko und Prüfungsbezug.
Maßnahmenplanung und Nachverfolgung
Umsetzbarkeit
Überführung der Ergebnisse in priorisierte Maßnahmen mit Verantwortlichkeiten, Zielterminen, benötigten Nachweisen und nachvollziehbarem Status.
Management Summary und Ergebnisgespräch
Entscheidungsfähigkeit
Verdichtung der wesentlichen Erkenntnisse für Geschäftsführung und Verantwortliche, einschließlich Handlungsbedarf, Abhängigkeiten und empfohlenen nächsten Schritten.
Projektmanagement bis zum Abschluss
Verlässliche Steuerung
Auf Wunsch koordinieren wir Termine, Beteiligte, Unterlagen, Regelkommunikation und Nacharbeiten bis zur Finalisierung des vereinbarten Prüf- oder Verbesserungsumfangs.
Nachvollziehbar prüfen
So läuft ein Audit ab
Prüfauftrag klären
Wir definieren Ziel, Kriterien, Scope, Rollen, Zeitplan und gewünschte Ergebnisform. Dabei grenzen wir Audit, Gap-Analyse, Reifegradbewertung und technische Prüfung sauber voneinander ab.
Audit vorbereiten
Wir stimmen Unterlagen, Nachweise, Interviewpartner, Stichproben und organisatorische Rahmenbedingungen ab. Vorhandene Dokumentation wird strukturiert bereitgestellt.
Anforderungen und Praxis bewerten
Wir prüfen Dokumente, führen Interviews und gleichen ausgewählte Nachweise mit den definierten Kriterien ab. Je nach Scope werden organisatorische und technische Aspekte auf Prüfebene einbezogen.
Findings konsolidieren
Ergebnisse werden nachvollziehbar dokumentiert, fachlich eingeordnet und mit den verantwortlichen Stellen plausibilisiert. Unklare Sachverhalte werden vor Abschluss des Berichts geklärt.
Maßnahmen priorisieren
Wir ordnen Handlungsbedarf nach Risiko, Prüfungsrelevanz, Abhängigkeiten und Umsetzbarkeit. Verantwortlichkeiten und erwartete Nachweise können direkt in die Maßnahmenplanung überführt werden.
Ergebnisse und nächste Schritte abstimmen
Management und operative Verantwortliche erhalten eine verständliche Zusammenfassung. Auf Wunsch begleiten wir Nacharbeiten, Wirksamkeitskontrollen und die Vorbereitung weiterer Prüfungen.
Nachweise strukturieren
Auditunterstützung mit Vorlagen, ISMS-Tools und Projektsteuerung
Je nach bestehender Systemlandschaft können Auditplanung, Anforderungszuordnung, Findings, Maßnahmen und Nachweise mit vorhandenen ISMS-Werkzeugen oder praxiserprobten Vorlagen strukturiert werden. Entscheidend ist nicht das Tool allein, sondern ein konsistenter Prozess: eindeutige Verantwortlichkeiten, nachvollziehbare Statusinformationen, versionierte Nachweise und regelmäßige Reviews. Unsere Berater bringen Best-Practice-Vorlagen aus ISO-27001- und IT-Grundschutz-Projekten ein und können die Nutzung von ISMS-Tools wie verinice oder fuentis in den bestehenden Arbeitsablauf einordnen.
Prüfbedarf klären
Starten Sie mit einem klaren Auditauftrag
Ein kurzer Scope-Termin schafft Klarheit darüber, welche Anforderungen geprüft werden sollen, welche Nachweise benötigt werden und welcher Auditansatz für Ihre Ausgangslage sinnvoll ist.
Nach dem Audit
Findings nachhaltig schließen und Auditfähigkeit erhalten
Auditfähigkeit ist kein einmaliger Projektzustand. Richtlinien, Risiken, Maßnahmen, Nachweise und Verantwortlichkeiten verändern sich mit Organisation, Technologien, Dienstleistern und Anforderungen. Wir unterstützen bei der Nachverfolgung von Findings, regelmäßigen Reviews, internen Audits und Managementinformationen. Bei Bedarf lässt sich dies mit laufender ISB-Unterstützung, ISMS-Pflege, BCM, Incident Response, Awareness oder technischen Security Services verbinden.
Audits sicher vorbereiten
Schulungen für Planung, Durchführung und Nachbereitung
ISO 27001 Interner Auditor
Auditkompetenz aufbauen
Für Personen, die interne ISMS-Audits vorbereiten, durchführen und dokumentieren sollen. Das Format vermittelt Anforderungen, Auditmethodik, Gesprächsführung, Bewertung und Auditbericht und ist als Präsenz-, Online- oder Inhouse-Format verfügbar.
ISO 27001 Kompakt
Grundlagen einordnen
Für Fach- und Führungskräfte, die Anforderungen und Zusammenhänge der ISO 27001 verstehen müssen, ohne selbst sofort eine vollständige Auditorenqualifikation anzustreben. Sinnvoll vor Auditvorbereitung, Rollenübernahme oder Managemententscheidungen.
ISMS-Tools im ISO-27001-Umfeld
Nachweise und reporting
Für Verantwortliche, die Anforderungen, Risikoanalysen, Maßnahmen, Auswertungen und Nachweise toolgestützt strukturieren möchten. Sinnvoll, wenn Auditfähigkeit und laufende Pflege stärker in einen konsistenten Arbeitsprozess überführt werden sollen.
Auditbezogene Vertiefungen
Weiterführende Leistungen zu Standards, Assessments und technischen Prüfungen
Audit- und Zertifizierungsvorbereitung
Vor externen Prüfungen
Gap-Analyse, Reifegradbewertung, Nachweisführung und Maßnahmenprüfung gezielt auf eine bevorstehende Zertifizierung oder externe Prüfung ausrichten.
ISO 27001
ISMS nach internationaler Norm
Anforderungen, Auditfähigkeit und Weiterentwicklung eines ISMS nach ISO 27001 vertiefen.
IT-Grundschutz
BSI-Methodik
Schutzbedarf, Modellierung, Sicherheitskonzeption und Nachweise nach BSI IT-Grundschutz einordnen.
TISAX® und VDA ISA
Automotive-Anforderungen
Den aktuellen Reifegrad bewerten und die Organisation auf Assessment- und Label-Anforderungen vorbereiten.
Penetration Testing
Technische Wirksamkeit
Organisatorische Audits durch kontrollierte technische Prüfungen aus Angreiferperspektive ergänzen.
Kurz beantwortet
Häufig gestellte Fragen
Geprüft werden die im Auditauftrag festgelegten Anforderungen, Prozesse, Rollen, Maßnahmen und Nachweise. Der konkrete Umfang kann sich auf ein Managementsystem, einzelne Themen, Standorte, Dienstleister oder technische Kontrollen beziehen.
Ein Audit bewertet definierte Kriterien und dokumentiert Feststellungen. Eine Gap-Analyse fokussiert die Lücke zwischen Ist und Soll. Eine Reifegradanalyse betrachtet, wie systematisch und belastbar Prozesse oder Kontrollen entwickelt sind. Die Methoden können sich ergänzen, verfolgen aber unterschiedliche Ergebnisziele.
Je nach Prüfauftrag können unter anderem ISO 27001, IT-Grundschutz, TISAX® und VDA ISA, B3S, KRITIS, NIS2, DORA, C5 sowie Kunden- oder Lieferantenvorgaben einbezogen werden.
Ja. Ein internes Audit oder eine gezielte Vorprüfung hilft, kritische Abweichungen und Nachweislücken vor dem externen Audit zu erkennen. Es ersetzt jedoch nicht die unabhängige Zertifizierungsentscheidung der zuständigen Zertifizierungsstelle.
Typischerweise Informationssicherheit, IT, Management, relevante Fachbereiche und Prozessverantwortliche. Je nach Scope kommen Datenschutz, Einkauf, Personal, Gebäudemanagement, BCM-Verantwortliche oder externe Dienstleister hinzu.
Die Dauer hängt von Scope, Kriterien, Standorten, Interviews, Stichproben und Dokumentationsstand ab. Ein fokussierter Check kann kompakt erfolgen; ein vollständiges internes Audit eines Managementsystems benötigt eine detaillierte Planung. Eine belastbare Einschätzung ist nach der Scope-Klärung möglich.
Benötigt werden nur Unterlagen und Nachweise, die zum vereinbarten Scope gehören. Typisch sind Richtlinien, Risikoanalysen, Maßnahmenstände, Rollenbeschreibungen, Protokolle, technische oder organisatorische Betriebsnachweise und frühere Auditberichte.
Findings werden anhand der zugrunde liegenden Kriterien, ihres Risikos, ihrer Auswirkung auf Auditfähigkeit und möglicher Abhängigkeiten eingeordnet. Für die Umsetzung sollte zusätzlich berücksichtigt werden, welche Maßnahmen kurzfristig wirksam, realistisch und nachweisbar sind.
Sie können ein Audit ergänzen, wenn die technische Wirksamkeit ausgewählter Kontrollen geprüft werden soll. Ein Penetrationstest ist jedoch eine eigenständige technische Prüfleistung mit separatem Scope, Vorgehen und Risikomanagement.
Entscheidend sind klare Verantwortlichkeiten, gepflegte Nachweise, regelmäßige Reviews, interne Audits und eine konsequente Nachverfolgung von Maßnahmen. Änderungen an Organisation, Technik, Dienstleistern und Anforderungen sollten kontrolliert in das Managementsystem übernommen werden.
Klarheit für die nächste Prüfung
Auditfähigkeit strukturiert herstellen
Wir prüfen Anforderungen, Nachweise und Maßnahmen in einem klar definierten Scope und zeigen, welche Schritte für Ihre Organisation sinnvoll sind.